プライバシーポリシー

公開前の重要事項

本方針は限定テスト用の改訂案です。一般登録を始める前に、運営者の法定表示、国外処理先、本人の承認済み端末だけが健康記録を復号できる端末側暗号化、委託先の契約・安全管理措置、バックアップとアクセスログの消去時期を確定します。これらを確認できるまで、実在する利用者の健康記録をXServerへ保存する本番同期と、健診・服薬・病歴等をAIへ送信する本番機能は提供しません。

本ページは法令・ストア規約への対応方針を説明するもので、医療上または法律上の個別助言ではありません。

1. 適用範囲・運営者

本方針は、ヘルストレアの紹介サイト、iOS・Apple Watch・Androidアプリおよび関連サーバーに適用します。現在は個人開発者が旧FitNASからの移行と合成データによる限定テストを行っており、一般登録・本番提供は開始していません。

公開前確認：個人情報取扱事業者として公表が必要な運営者氏名・住所等の表示方法を専門家と確認し、一般登録開始前にこの欄と利用規約へ掲載します。問い合わせは、受信メールアドレスを公開しない公式窓口で受け付けます。

2. 取り扱う情報と取得方法

広告識別子、連絡先一覧、常時位置情報は要求しません。取得権限を拒否しても、その情報を必要としない機能は利用できる設計にします。

3. 利用目的

• 本人の記録表示、複数端末同期、バックアップと復元。
• 体調・睡眠・運動の振り返り、トレーニングメニュー、カレンダーに応じた通知休止。
• 本人が選択した服薬通知を、薬名・用量を載せない外部カレンダー予定として購読できるようにすること。
• 本人が選択した資料の文字抽出、本人向けの一般的な改善案・説明の生成。
• 本人確認、メール確認、パスワード回復、退会、問い合わせ対応。
• 不正利用防止、回数制限、障害調査、セキュリティ監査、品質改善。

健康・医療・フィットネス情報を、広告、行動追跡、信用・保険・雇用評価、本人に不利益なプロファイリング、データ販売に利用しません。目的を実質的に変更する場合は、変更前に分かりやすく通知し、必要な同意を改めて取得します。

4. 端末内処理・対応OS・Googleサービス

Androidスマホ版はAndroid 9～17を予定サポート範囲とし、iOS版とともに、可能な処理を端末内で完結させます。健診・薬の日本語OCR、姿勢動画からの骨格候補、固定ルールの筋トレメニュー、カレンダー予定による通知休止は、対応する端末では画像・動画・予定名を外部AIへ送らず処理します。AI処理は通常の端末内計算、オンデバイスAI、クラウドAIの順に可否を判定します。クラウドへの切替を含む操作では、送信候補と送信先を実行前に表示して本人の確認を求めます。本人の確認なしにOpenAI、Google Geminiその他の外部AIへ自動送信しません。「クラウドAIを許可しない」を選んだ場合は外部AIへ切り替えません。

Apple端末では、OS・端末・地域・言語・モデル準備状況をアプリ内で確認し、Appleの端末内モデルを利用できる場合だけ、本人が選んだ操作に使用します。利用できない場合は外部AIへ自動切替せず、固定ルールまたは手入力を先に利用します。同じ確認操作でクラウド利用も許可されている時だけ必要最小限の内容を外部AIへ送ります。Apple Intelligenceを使用して作る文章には誤りがあり得るため、健診・薬・症状の診断、治療、処方の判断には使用しません。

iOS 27世代では、端末内モデルのほかPrivate Cloud Computeや第三者モデル提供者を選べる機能が予定されています。本サービスは、端末内・Appleのクラウド・OpenAIやGemini等の第三者を同じものとして扱いません。クラウド処理を追加する場合は、送信先、対象情報、目的、保存、費用を利用前に表示し、本人の明示同意なしに端末内処理から自動で切り替えません。日本語Siri AIなど未提供・未確認の機能を利用可能とは表示しません。

Appleヘルスケアから読み取る項目は、本人が分類と項目を選び、Appleの権限画面で許可した範囲に限ります。取得した健康・フィットネス情報を広告の選定、行動広告、データ販売、データブローカーへの提供に使用しません。未許可・未記録の項目は0や正常と推測しません。

iPhoneアプリは筋トレ画面を開いただけでAppleヘルスケアのワークアウトを自動開始・保存しません。Apple Watchでは本人が明示的に開始し、本人が終了した筋力トレーニングだけを、Watch側で許可した場合にAppleヘルスケアへ保存します。この処理だけを理由に健康記録をXServerまたは外部AIへ送信しません。

Apple Watchの気圧比較を利用する場合、時計内では最大31日分の測定点を日別に集計し、iPhoneへは日付、平均・最小・最大気圧、測定回数、更新日時だけを渡します。iPhoneでは体調記録と30日単位で比較し、ログイン済みの場合は他の構造化記録と同じ本人専用暗号化同期の対象にします。これは本人向けの参考傾向であり、頭痛の原因、診断、治療判断には使用しません。

Android 9～13のHealth ConnectはGoogle Playの別アプリ、Android 14以上ではOS内蔵機能を利用します。Google Play servicesを使う文書スキャナ、コード読取、Health Connect、Firebase通知等では、GoogleがOS・端末識別情報、診断情報、利用状況等を各サービスの条件に従って取り扱う場合があります。本サービスは、各機能を開く前またはOSの許可画面で必要性を説明し、利用できない場合は手入力やアプリ内再取得等の代替を示します。

Gemini Nano、ML Kit GenAI、端末内音声認識等は、一部の端末だけで利用できます。端末の対応状況、モデルの取得状態、空き容量を実行時に確認し、利用者が選択しないモデルを自動取得しません。生成AIに非対応でも主要な記録、同期、OCR、固定ルールによるメニュー生成を利用できる設計とし、対応可否を広告・保険・雇用評価等に利用しません。予定範囲と検証状況は対応端末・OSで案内します。

5. 外部サービス・外部送信・国外処理

外部送信前に、目的、送信先、情報の種類をアプリに表示し、本人の操作と同意がある場合だけ送信します。国外の第三者へ個人データを提供する場合は、移転先の国・地域、その国の個人情報保護制度、提供先が講ずる保護措置等を同意取得前に示します。

AWSでの処理：東京で受け付けた要求が大阪で処理される場合もあります。日本向けNovaの処理先、両地域での入力・出力の保持設定、および入力・出力を記録するログ設定を確認し、確認できない場合は送信を停止します。2026年10月13日の接続検証時点では、両地域の保持設定を「保存しない」に設定し、モデルへの入力・出力を記録するログは有効にしていません。AWSの安全対策による例外的な確認・法令対応等まで含め、あらゆる情報が一切残らないことを保証する表示ではありません。AWSの保持設定と安全対策の説明もご確認ください。

Nova接続は公的資料のWeb検索には使用しません。一般的な案内を作る機能であり、診断・処方・治療の決定はしません。別のAWSモデルや複数AIに切り替える場合も、送信先・対象情報・処理地域・保持条件を確認する必要があります。OpenAIやGeminiへの同意をAWSへの同意とみなさず、障害時も無断で別のAIへ転送しません。保存済みの健康記録やHealthKitの値を質問に自動添付しません。

AWSへの接続に使う秘密情報は公開されないサーバー設定だけで管理し、アプリ、ブラウザ、公開ファイルへ含めません。画像・動画の一時保存、メール配信、複数AIへの問い合わせは、それぞれの確認が終わるまで停止します。運営側のAWS費用通知は利用者への課金を意味しません。

公開前確認：OpenAI・Googleを含む処理地域、契約上の保存・再利用・再委託・削除条件が未確定のため、本番AI送信は停止対象です。確定後に送信先別の国・保護措置・保持条件をこの表とアプリ内同意画面へ追記します。

6. ChatGPTとの共同開発・開発支援

本サービスの設計、ソースコード作成の補助、テスト項目・画面文言の検討、障害原因の整理等に、OpenAIのChatGPTを開発支援ツールとして利用することがあります。ここでいう共同開発は、開発者がChatGPTの提案内容を確認し、採用の可否を判断する補助的な利用を指します。ChatGPTまたはOpenAIが本サービスの運営主体、医療判断者または利用者情報の管理責任者となるものではありません。

通常の開発・検証では、合成データまたは個人を識別できないよう加工した情報を使用し、利用者の氏名、メールアドレス、パスワード、認証トークン、APIキー、未加工の健康・健診・服薬データ、画像・動画をChatGPTへ入力しない運用とします。障害調査のため情報が必要な場合も、目的に必要な最小範囲に限定し、個人を識別できる情報や秘密情報をマスキングしたうえで、利用者から提供された内容を外部サービスへ送る必要があるときは事前に対象・目的・送信先を示して確認します。

利用者がアプリ内のAI機能を選択してOpenAI、Google GeminiまたはAmazon Bedrockへ情報を送る処理は、この開発支援とは別の取扱いです。アプリ内AIでは、送信前に送信先、目的および対象情報を表示し、利用者がその都度明示的に同意した場合だけ送信します。

7. 第三者提供・委託・トレーナー共有

本人の同意がある場合、法令に基づく場合、生命・身体の保護のために必要で同意取得が困難な場合等の法令上の例外を除き、個人データを第三者へ提供しません。要配慮個人情報はオプトアウト方式で第三者提供しません。

運営に必要な範囲で委託する場合は、委託先を選定し、契約、安全管理措置、再委託、事故報告、削除を確認・監督します。トレーナー共有は、本人が相手と対象を指定し確認した場合だけ、筋トレの日付・種目・重量・回数を共有します。体調、睡眠、健診、薬、食事、メモ、ヘルスケア値は共有せず、共有停止後に以前の同意を自動復活させません。

8. 保存期間・削除

端末内だけの原本、OSのヘルスケア領域、送信済み外部サービスのデータは、アプリのアカウント削除だけでは消えない場合があります。削除方法をアカウント削除案内に分けて案内します。

外部カレンダー購読URLの元文字列はアプリのデータベースへ保存せず、照合用ハッシュだけをアカウント利用中に保持します。ただし、ホスティング事業者の安全運用上のアクセスログには要求先URLが一定期間記録される場合があります。再発行、購読停止またはアカウント削除で従前のURLを無効化します。カレンダーアプリ側へ既に取り込まれた予定は、利用者が各カレンダー側で削除する必要があります。

9. 安全管理と事故対応

HTTPS、保存時暗号化、アクセス制御、秘密情報の分離、パスワードのハッシュ化、端末別トークン、回数制限、管理操作監査、世代バックアップ、依存関係・ソース・コンテナの脆弱性検査を使用します。回復コード本文はサーバーへ保存せず、ハッシュ値だけを保存します。一般公開版では、これに加えて本人端末で暗号化してから同期する方式を必須とします。

本人限定閲覧の方針：一般公開版では、健康・健診・服薬等の同期記録を端末側で暗号化し、生の復号鍵をサーバーへ保存しません。管理者画面には利用者数、暗号文の容量、同期revision、障害状態等だけを表示し、健康記録本文を表示しません。新しい端末で内容を開くには、承認済み端末または本人が保管する回復キーによる承認を必要とします。

メールによるパスワード再設定はログインを回復する手続であり、それだけでは暗号化済み健康データを復号できません。承認済み端末と回復キーの両方を失った場合、運営者も内容を復元できない設計とし、この制限を回復キー発行前に表示します。本人がAI送信、問い合わせ、トレーナー共有を明示操作した情報は、その指定先が必要な範囲で確認・処理します。

漏えい、滅失、毀損等を把握した場合は、影響範囲の特定、拡大防止、原因調査、再発防止を行い、法令上必要な場合は個人情報保護委員会への報告と本人への通知を行います。

現在公開中の限定テスト設定では、本人専用暗号化の有効化フラグはOFFであり、XServerの構造化同期記録はまだ本人だけが復号できる運用へ切り替えていません。暗号文形式、両OSの端末鍵・復旧キー、暗号文専用APIはソース実装済みで、共通APIには暗号文を復号する処理を置かず、生の復号鍵を受け取りません。ただし、XServer反映、複数端末の鍵受渡し、回復キー、削除・復元訓練を実機・本番相当環境で検証するまで有効化せず、実在する健康データの本番同期と一般登録を開始しません。安全性を完全に保証するものではありません。

10. 本人の権利・同意の撤回

利用者は、自分の保有個人データの利用目的の通知、開示、訂正・追加・削除、利用停止・消去、第三者提供停止、第三者提供記録の開示を、法令の範囲で請求できます。HealthKit／Health Connect／端末カレンダーの権限はOS設定で変更でき、外部カレンダー購読はアプリ内で再発行・停止でき、AI送信は送信確認画面で拒否できます。

請求は公式問い合わせフォームで「プライバシー・データ請求」を選び、登録メールアドレスを返信先としてご連絡ください。対象アカウント、希望する手続を確認し、なりすまし防止のため必要最小限の本人確認を行います。原則として手数料は求めませんが、法令上認められる実費が生じる場合は事前に説明します。全部または一部に応じられない場合は理由を説明します。

11. 広告・Cookie・子どもの利用

現在、広告SDK、行動追跡SDK、広告識別子を実装していません。公式サイトはログイン用Cookieや広告Cookieを設置しませんが、ホスティング事業者が安全運用のためIPアドレス、ユーザーエージェント、日時、参照元等をアクセスログへ記録する場合があります。

将来広告を導入する場合も、HealthKit、Health Connect、健診、服薬、体調等を広告の選択や測定に利用せず、導入前に本方針、ストア申告、同意画面を更新します。対象年齢と保護者同意の方法が確定するまで未成年者の一般登録を受け付けず、子どもだけを対象とするサービスとしてHealth Connectを利用しません。

12. 改定・準拠

個人情報保護法、電気通信事業法上の外部送信規律、Apple App Review Guidelines、Google Playのユーザーデータ・健康データ要件等を確認し、機能、送信先、法令または運用の変更に応じて改定します。重要な変更は施行前にアプリまたは公式サイトで案内し、必要な場合は再同意を取得します。

13. お問い合わせ・苦情

プライバシー、開示等の請求、苦情、事故の連絡：公式問い合わせフォーム →

安全な問い合わせ方法を確認する →
利用規約を確認する →
アカウント削除案内を確認する →